Data processing agreement

Status: Arbeitsentwurf · keine rechtsverbindliche Fassung · angezeigt unter /de/legal/avv mit Entwurf-Hinweis Stand: 2026-10-15 · Version: Entwurf 1.2 · noch nicht in Kraft Vertrag nach Art. 28 DSGVO zwischen dem Workspace-Inhaber (Verantwortlicher) und dem Anbieter von Zyvendo Book (Auftragsverarbeiter). Eckige Klammern ersetzt der Anwalt zusammen mit dem Impressum. Die Registrierung speichert Version 1.2, Sprache und Zeitpunkt am Konto. Solange diese Seite als Entwurf gekennzeichnet ist, ist das die Annahme des Entwurfs.

§ 1 Parteien und Zustandekommen

(1) Verantwortlicher ist der Inhaber des Workspace (Owner), der Zyvendo Book nutzt, um Termine entgegenzunehmen („Auftraggeber“).

(2) Auftragsverarbeiter ist

[Firmenname – eintragen] ([Rechtsform – eintragen]), [Straße und Hausnummer – eintragen], [PLZ und Ort – eintragen], Deutschland („Auftragnehmer“).

(3) Dieser Vertrag wird geschlossen, wenn der Auftraggeber bei der Registrierung zustimmt und Version, Sprache und Zeitpunkt am Konto gespeichert werden. Solange die Seite als Entwurf gekennzeichnet ist, gilt die Zustimmung für diesen Entwurf. Eine freigegebene Neufassung braucht eine neue Zustimmung.

(4) Die AGB bleiben daneben gelten. Bei Widerspruch zu den Pflichten aus Art. 28 DSGVO geht dieser Vertrag vor.

§ 2 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten von Buchenden, Gästen und weiteren Teilnehmern, die der Auftraggeber über Zyvendo Book erhebt, damit der Auftragnehmer die Buchungsplattform bereitstellt.

(2) Die Verarbeitung dauert für die Laufzeit des Workspace. Nach dem Ende gilt § 9.

(3) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, sofern nicht eine Rechtsvorschrift der Union oder eines Mitgliedstaats ihn zu einer anderen Verarbeitung verpflichtet. Die Weisung ist dieser Vertrag, die vom Auftraggeber in der App gespeicherten Einstellungen (Termine, Fragen, Aufbewahrung, E-Mail-Abläufe, Integrationen) und einzelne schriftliche Weisungen an datenschutz@zyvendo.de. Eine Weisung, die gegen Datenschutzrecht verstößt, muss der Auftragnehmer mitteilen. Er darf die Ausführung aussetzen, bis die Weisung geklärt ist.

§ 3 Art und Zweck

Art der Verarbeitung: Speichern, Anzeigen auf der Buchungsseite, in Einbettung, Popup und Mails, Eintrag in den verbundenen Kalender des Auftraggebers, Versand an die von ihm eingetragenen Webhook-Adressen und an Zyvendo Rec, wenn er die Verbindung einschaltet, Export der Kontaktakte, Anonymisierung und Löschung mit den Funktionen der App.

Zweck: Terminvereinbarung, Erinnerung, Absage, Verschieben, Umfragen, Einladungen und die dazu nötige Verwaltung der Kontakte des Auftraggebers. Keine Werbung durch den Auftragnehmer.

§ 4 Daten und betroffene Personen

Betroffene Personen: Buchende, Gäste, weitere Teilnehmer an Gruppen oder Umfragen, Personen, die der Auftraggeber als Kontakte anlegt.

Daten, soweit der Auftraggeber sie abfragt oder erzeugt:

• Name, E-Mail, optionales Telefon, optionale Firma
• Termin (Titel, Beginn, Ende, Zeitzone, Status, Ort oder Meeting-Art)
• Antworten auf Fragen des Auftraggebers
• Notizen des Auftraggebers zum Kontakt
• Zeitpunkt einer Einwilligung, die der Auftraggeber einholt
• technische Daten, die für den Versand und den Schutz vor Missbrauch nötig sind
• weitere Teilnehmer, Umfragestimmen, Anschrift eines Besuchs beim Gast, Impressumstext des Auftraggebers und der Name seiner eigenen Domain, soweit er das eingibt

Keine besonderen Kategorien im Sinne von Art. 9 DSGVO sind vorgesehen. Der Auftraggeber darf solche Daten nicht über die Freitextfelder abfragen, es sei denn, er hat selbst eine Rechtsgrundlage und weist den Auftragnehmer vorher an.

Kontodaten, Abrechnung und Missbrauchsmeldungen der Plattform verarbeitet der Auftragnehmer als eigener Verantwortlicher. Das steht in der Datenschutzerklärung, nicht in diesem Auftrag.

§ 5 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Erhebung verantwortlich, einschließlich der Information der Gäste und eines zutreffenden Impressums auf einer eigenen Domain (AGB § 4a).

(2) Er richtet Aufbewahrung, Fragen und E-Mails so ein, dass nicht mehr Daten verarbeitet werden als für den Termin nötig.

(3) Er beantwortet Auskunfts- und Löschverlangen seiner Gäste. Der Auftragnehmer stellt dafür Export, Anonymisierung und Löschung in der App bereit.

§ 6 Vertraulichkeit

Der Auftragnehmer gewährleistet, dass sich die mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheit unterliegen.

§ 7 Sicherheit

Der Auftragnehmer trifft mindestens die Maßnahmen in Anlage 2. Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

§ 8 Weitere Auftragsverarbeiter

(1) Der Auftraggeber stimmt den Dienstleistern in Anlage 1 zu.

(2) Der Auftragnehmer informiert über eine geplante Ergänzung oder einen Wechsel per E-Mail an den Workspace-Inhaber mindestens 30 Tage vorher. Der Auftraggeber kann bis zum Wechsel aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, darf er den Workspace zum Wechselzeitpunkt kündigen. Gesetzlich zwingende Wechsel aus Sicherheitsgründen können kürzer angekündigt werden.

(3) Der Auftragnehmer schließt mit weiteren Auftragsverarbeitern Verträge, die denselben Datenschutzpflichten entsprechen.

(4) Google, Microsoft und Zoom setzt der Auftraggeber selbst ein, wenn er die Konten verbindet. Soweit diese Dienste die Gastdaten in seinem Auftrag verarbeiten, bleibt er für diese Weisung und für deren eigene Bedingungen verantwortlich. Der Auftragnehmer speichert die dafür nötigen Zugangsdaten verschlüsselt und nutzt sie nur für die vom Auftraggeber eingeschaltete Funktion. In den Kalender des Hosts können Name, E-Mail und bei einem Einzeltermin die Besuchsadresse des Gastes geschrieben werden.

(5) Webhook-Adressen und die Verbindung zu Zyvendo Rec richtet der Auftraggeber ein. Der Auftragnehmer sendet dorthin die in der Datenschutzerklärung § 3.5 genannten Buchungsfelder. Der Auftraggeber ist dafür verantwortlich, dass die Empfänger die Daten verarbeiten dürfen. Die Auswertungs-CSV enthält nur Kennzahlen, keine Namen und keine E-Mail-Adressen. Der Kontakt-Export enthält die Akte dieser einen Person.

§ 9 Löschung und Herausgabe

Nach Ende des Vertrags löscht oder anonymisiert der Auftragnehmer die Gastdaten innerhalb von 30 Tagen, soweit keine gesetzliche Pflicht entgegensteht. Vorher kann der Auftraggeber die in der App vorgesehenen Exporte nutzen. Eine individuelle Herausgabe in einem anderen Format schuldet der Auftragnehmer nicht. Kopien in Sicherungsläufen werden im üblichen Sicherungszyklus gelöscht.

§ 10 Unterstützung und Meldung

(1) Der Auftragnehmer unterstützt den Auftraggeber mit den technischen Möglichkeiten der App bei Anfragen betroffener Personen und bei der Datenschutz-Folgenabschätzung, soweit der Auftraggeber das nicht selbst kann und der Aufwand im Rahmen des gebuchten Tarifs bleibt.

(2) Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO bekannt, meldet er sie dem Auftraggeber ohne unangemessene Verzögerung, nachdem er sie festgestellt hat. Die Meldung nennt, soweit bekannt, die Art der Verletzung, die betroffenen Daten, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.

§ 11 Nachweise

Der Auftragnehmer stellt die für den Nachweis nach Art. 28 Abs. 3 lit. h DSGVO nötigen Informationen zur Verfügung. Vor-Ort-Prüfungen kündigt der Auftraggeber mit angemessener Frist an, sie finden höchstens einmal je Kalenderjahr statt, während der üblichen Geschäftszeiten und ohne Zugriff auf Daten anderer Kunden. Die Kosten trägt der Auftraggeber, außer der Anlass liegt in einem vom Auftragnehmer zu vertretenden Verstoß.

§ 12 Drittland

Eine Übermittlung außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO vorliegen. Welche Dienstleister das betreffen kann, steht in Anlage 1. Der Auftraggeber entscheidet mit dem Verbinden eines Google-, Microsoft- oder Zoom-Kontos über diese Übermittlung.

§ 13 Haftung

Für die Haftung zwischen den Parteien gelten die AGB § 15, soweit Art. 82 DSGVO nichts Zwingendes vorsieht. Ansprüche betroffener Personen bleiben unberührt.

Anlage 1 – Weitere Auftragsverarbeiter

Google, Microsoft und Zoom sind keine Unterauftragsverarbeiter des Auftragnehmers, solange der Auftraggeber sie mit seinem eigenen Konto verbindet (§ 8 Abs. 4).

Anlage 2 – Technische und organisatorische Maßnahmen

• Getrennte Daten je Workspace, Zugriff in der Datenbank über Richtlinien des jeweiligen Workspace
• Zugriff auf die Anwendung nur mit Konto und Rolle
• Schlüssel der Plattform und verbundener Kalender nur auf dem Server, Kalender-Tokens verschlüsselt
• Übertragung über HTTPS
• Gastdaten werden nicht für Werbung des Auftragnehmers genutzt
• Löschen und Anonymisieren von Kontakten durch den Auftraggeber in der App
• Aufbewahrung der Gastdaten nach der im Workspace gesetzten Frist, Standard sechs Monate nach dem letzten Termin, sofern der Auftraggeber das nicht ändert
• Meldung von Verletzungen nach § 10

Diese Liste ist der Mindeststand des Entwurfs. Der Anwalt und der Betrieb gleichen sie mit den tatsächlich betriebenen Maßnahmen ab, bevor der Vertrag gilt.